O que é Open Gateway? As APIs de rede contra fraude

Existe uma informação que só a operadora de telefonia tem, e que vale ouro para qualquer sistema antifraude: ela sabe, com certeza técnica, se o telefone que está fazendo aquela conexão é mesmo o que diz ser — e sabe se o chip daquele número foi trocado há duas horas.

Durante décadas, esse conhecimento ficou trancado dentro de cada operadora, acessível por integrações sob medida, caras e diferentes em cada rede. Construir um produto que usasse isso em escala nacional era caro; em escala internacional, inviável.

O Open Gateway é a tentativa da indústria de destrancar isso de forma padronizada. E, entre todas as capacidades possíveis, foram as três de combate a fraude que saíram primeiro — inclusive no Brasil, que foi um dos primeiros países do mundo a colocá-las em produção.

A tese em uma frase: o Open Gateway transforma a rede móvel numa fonte de verificação de identidade que o fraudador não consegue falsificar do teclado — e faz isso devolvendo apenas "sim" ou "não", sem entregar dado pessoal a ninguém.

O problema que o Open Gateway resolve

A rede móvel sempre soube coisas úteis. Ela sabe qual dispositivo está associado a qual linha, quando um chip foi substituído, em que região a conexão está acontecendo e qual a qualidade disponível naquele momento. O obstáculo nunca foi técnico — foi de padronização.

Cada operadora expunha o que quisesse, do jeito que quisesse, com contrato próprio. Um banco que quisesse verificar números precisava de uma integração com a Vivo, outra com a Claro, outra com a TIM — e recomeçar tudo se resolvesse operar em outro país. O custo de integração matava o caso de uso antes do produto nascer.

O Open Gateway resolve isso com o mesmo movimento que fez o sucesso das APIs de pagamento: uma interface só, muitos provedores atrás. O desenvolvedor integra uma vez; a chamada funciona em qualquer operadora que tenha aderido.

A divisão de trabalho é interessante e vale entender:

• O CAMARA é o projeto open source, hospedado pela Linux Foundation, onde as especificações são escritas e mantidas publicamente. É o contrato técnico.
• O Open Gateway é a iniciativa comercial da GSMA que faz as operadoras implementarem esse contrato. É a distribuição.

Hoje a iniciativa reúne mais de 79 grupos de operadoras e alcança mais de 300 redes em 85 países. Se você trabalha com APIs e quer o contexto mais amplo desse tipo de padronização, a lista de APIs públicas dá uma noção de como o ecossistema se organizou em outras áreas.

As três APIs que importam agora

O catálogo do CAMARA é maior — inclui qualidade sob demanda, geolocalização, gestão de dispositivos —, mas foram três capacidades antifraude que saíram na frente comercialmente, porque tinham cliente pagante esperando: bancos e fintechs.

Number Verification: o substituto do OTP por SMS

É a mais importante das três, porque ataca o ponto mais frágil da autenticação brasileira.

O OTP por SMS — aquele código de seis dígitos — nunca foi um bom fator de autenticação. Ele é um canal, não uma prova: pode ser lido numa tela bloqueada, redirecionado por SIM swap, ou simplesmente arrancado da vítima por um golpista que liga se passando pelo banco. Milhões de reais se perdem no Brasil todo ano por causa de um código que a própria vítima entrega.

A Number Verification muda a natureza da verificação. Em vez de mandar algo para o usuário digitar, o sistema pergunta à operadora se aquela conexão móvel corresponde ao número informado. Não há código, então não há o que interceptar nem o que arrancar da vítima. A GSMA descreve a API justamente como um substituto mais seguro do OTP por SMS, e a documentação oficial detalha o fluxo.

É a mesma direção que o resto da indústria de identidade tomou: a Microsoft anunciou a aposentadoria do MFA por SMS e voz no Entra ID, com passkeys virando o método padrão. Normas como NIS2, DORA e PCI DSS 4.0 já exigem MFA resistente a phishing — e SMS não passa nesse critério.

SIM Swap: fechar a janela do sequestro de linha

O golpe do SIM swap tem um roteiro conhecido. O criminoso reúne dados da vítima, convence a operadora a transferir o número para um chip novo e, a partir daí, recebe todos os SMS — inclusive os códigos do banco. A vítima percebe quando o celular fica sem sinal, geralmente tarde demais.

A API não impede a troca; ela denuncia a troca recente. O banco pergunta se houve substituição de SIM nas últimas 24 ou 72 horas antes de autorizar uma transação sensível. Se houve, exige verificação adicional ou bloqueia. É uma janela pequena, e é exatamente na janela que o golpe acontece.

Device Location: contra o GPS falsificado

Falsificar localização num aplicativo é trivial — existem apps prontos para isso. Falsificar a região em que o aparelho está conectado à rede móvel, não: essa informação vem da infraestrutura da operadora, não do dispositivo.

A API confirma se o aparelho está mesmo na área declarada. A resposta é aproximada de propósito, por privacidade — não é rastreamento, é conferência de coerência. Uma transação declarada em São Paulo com o aparelho conectado em outro estado gera um sinal que vale a pena investigar.

O Brasil chegou primeiro

Este é o detalhe que costuma surpreender. Em novembro de 2023, Claro, TIM e Vivo lançaram conjuntamente as três APIs antifraude, colocando o país entre os pioneiros mundiais da iniciativa — antes de boa parte da Europa.

O motivo não é acaso. O Brasil tem uma combinação rara: sistema de pagamento instantâneo de adoção massiva, população inteiramente bancarizada por celular e uma indústria de fraude sofisticada e industrializada. A demanda por verificação de identidade em tempo real é maior aqui do que em quase qualquer lugar, e as operadoras tinham comprador imediato.

O desenho de privacidade foi construído para o cenário regulatório local: privacy by design e conformidade com a LGPD, com respostas binárias. A operadora não conta o que sabe sobre você — ela confirma ou nega o que foi perguntado. É uma diferença jurídica importante, porque não caracteriza compartilhamento de dado pessoal no sentido amplo.

A Vivo já anunciou uma leva seguinte de APIs, e os nomes indicam para onde a coisa caminha:

• Scam Signal — sinaliza indícios de que a vítima está numa ligação com golpista no exato momento da transação. É a resposta técnica ao golpe do falso funcionário do banco.
• Most Frequent Location — valida a coerência com o padrão histórico de localização do usuário, em vez de um ponto isolado.
• Telco Index — score de consumo e crédito derivado do comportamento com a operadora, para quem não tem histórico bancário.

O último merece atenção crítica. Score de crédito construído a partir de dados de telecom levanta questões legítimas de discriminação algorítmica e de transparência — quem é reprovado tem direito de saber por quê. Não é um problema técnico, é um problema de governança, e vale acompanhar.

Como isso é consumido na prática

Do lado de quem desenvolve, é uma API REST comum: você autentica, faz uma chamada, recebe JSON. Nada exótico — se você já integrou qualquer serviço, o padrão é familiar, e vale a mesma disciplina de webhooks e integrações que você usaria em qualquer outro fornecedor crítico. É a mesma lógica de plataforma que rege a WhatsApp Business API: acesso intermediado, homologação e cobrança por uso.

O que não é comum é o caminho comercial. Não existe "criar conta e começar a usar": o acesso é intermediado por agregadores e parceiros das operadoras, com contrato, homologação e cobrança por consulta. O modelo foi desenhado para banco, fintech e plataforma de alto volume.

Para uma PME, portanto, o caminho realista é indireto. Você provavelmente já se beneficia disso sem saber, através do seu gateway de pagamento ou do seu provedor antifraude. A pergunta útil para fazer ao fornecedor é direta: "vocês consomem as APIs de Number Verification e SIM Swap das operadoras no fluxo de autenticação?". A resposta separa quem tem antifraude de verdade de quem tem regra de negócio com nome bonito.

O que isso significa para quem monta produto digital

Três leituras práticas, mesmo para quem não vai integrar nada tão cedo:

1. O SMS está no fim como fator de autenticação. Se o seu produto ainda depende de código por SMS como segundo fator, você está construindo sobre um mecanismo que a indústria inteira está abandonando. O sucessor no mundo web são as passkeys; no mundo telecom, a verificação pela rede. Vale começar a planejar a migração antes que ela vire exigência de cliente ou de norma.

2. Verificação boa é invisível. O padrão que emerge nas três APIs é o mesmo: menos coisa para o usuário digitar, mais verificação acontecendo em segundo plano. Todo passo de autenticação que você remove do fluxo sem perder segurança é conversão que você ganha — e é raro que segurança e conversão apontem para o mesmo lado. É o mesmo princípio da verificação contínua que sustenta o Zero Trust: confiança nunca é concedida de uma vez, é reavaliada a cada acesso.

3. A fraude migrou de sistema para pessoa. Repare que nenhuma dessas APIs protege contra invasão. Elas protegem contra alguém se passar por outro alguém. É o reconhecimento de que o elo mais explorado hoje não é o servidor — é a vítima convencida a agir contra o próprio interesse. Continua valendo tudo que o post sobre phishing ensina, porque é a mesma fronteira.

O ponto que fica

O Open Gateway é uma das poucas iniciativas em que a padronização chegou antes da consolidação — e o Brasil, dessa vez, entrou entre os primeiros em vez de esperar a tecnologia chegar traduzida.

Para quem constrói produto, a mensagem é que a identidade está deixando de ser algo que o usuário prova digitando e passando a ser algo que a rede confirma em segundo plano. Para quem só quer entender o assunto, basta guardar isto: da próxima vez que um aplicativo te reconhecer sem pedir código nenhum, foi provavelmente a sua operadora respondendo "sim" a uma pergunta que ninguém te mostrou.